На странице смены информации нет такого защитного поля hidden, как на странице отсылки денег. Поэтому легко сменить информацию без ведома пользователя. По-моему, это следствие не только отсутствия такого поля, но и включенных глобальных переменных (?). Просьба исправить.

Ещё без ведома участника можно создать клуб от его имени. По той же причине.

Извиняюсь, написал админам. Просьба закрыть тему.